Informacja o uzyskanym dofinansowaniu na zadanie "Cyberbezpieczna Gmina Lubowidz"

Celem i efektem projektu będzie zwiększenie cyfryzacji Gminy, w szczególności w zakresie znaczącej poprawy poziomu cyberbezpieczeństwa prowadzonej działalności.

Cel i efekty projektu wpisują się w cel Projektu grantowego jakim jest wsparcie JST w zakresie realizacji usług publicznych na drodze teleinformatycznej, poprzez zwiększenie cyfryzacji jednostek samorządu terytorialnego w kontekście zwiększenia poziomu cyberbezpieczeństwa. Ponadto cel projektu wpisuje się w kierunek działania 2.2. FERC, jakim

jest Wzmocnienie krajowego systemu cyberbezpieczeństwa, a także wypełnia cele tegoż działania realizując działania z zakresu transformacji cyfrowej kraju przez realizację przedsięwzięć, które zapewnią skuteczniejsze działanie krajowego systemu cyberbezpieczeństwa na poziomie samorządu lokalnego.

Wybrane do zrealizowania potrzeby:

Obszar organizacyjny:

·         Audyt początkowy KRI - Audyt KRI jest czynnością konieczną i niezwykle ważną dla zachowania zgodności z rozporządzeniem Rady Ministrów z dnia 12 kwietnia 2012 r. Jego celem jest sprawdzenie bezpieczeństwa danych. Dzięki audytowi KRI zyskuje się realną ocenę prawidłowości zabezpieczeń systemów, a także rekomendacje, co należy zrobić, aby zwiększyć poziom bezpieczeństwa i usprawnić działanie podmiotu w tym zakresie.

·         Wdrożenie SZBI - Posiadany przez Urząd System Bezpieczeństwa Informacji jest nieaktualny. Zaplanowano audyt posiadanego Systemu, który musi zostać zaktualizowany do nowych wymagań i przepisów.

·         Audyt końcowy KRI - Audyt KRI jest czynnością konieczną i niezwykle ważną dla zachowania zgodności z rozporządzeniem Rady Ministrów z dnia 12 kwietnia 2012 r. Jego celem jest sprawdzenie bezpieczeństwa danych. Dzięki audytowi KRI zyskuje się realną ocenę prawidłowości zabezpieczeń systemów, a także rekomendacje, co należy zrobić, aby zwiększyć poziom bezpieczeństwa i usprawnić działanie podmiotu w tym zakresie. Audyt na koniec projektu pozwoli na wyspecyfikowanie kolejnych, niezbędnych do podjęcia działań w zakresie zapewnienia.

Obszar kompetencyjny:

·         Dostęp do platformy edukacyjnej z zakresu cyberbezpieczeństwa - zakup dostępu do platformy edukacyjnej dla pracowników urzędu, gdzie pracownik będzie przechodził regularne szkolenia oraz jego wiedza będzie weryfikowana podczas przeprowadzanych cyklicznie testów. Materiały szkoleniowe na platformie są aktualizowane na bieżąco, uzupełniane o nowy materiał zgodnie z panującymi trendami.

Obszar techniczny:

·         Serwer aplikacji wraz z konfiguracją i wdrożeniem – Urząd posiada stary, wyeksploatowany serwer bez gwarancji producenta. Serwer nie spełnia obecnych technicznych minimalnych wymagań dla istniejących rozwiązań informatycznych. Po wymianie serwera zostanie zainstalowane aktualny serwerowy system operacyjny. Najnowsze wersje systemu operacyjnego zawierają najnowsze aktualizacje zabezpieczeń, co pomaga w ochronie przed nowymi zagrożeniami. Starsze wersje systemu operacyjnego mogą być bardziej podatne na ataki, ponieważ producent może przestać udostępniać łatki bezpieczeństwa dla starszych wersji. Dodatkowo planowane jest zainstalowanie oprogramowania wskazanego w ramach dotacji m. in. oprogramowania do inwentaryzacji, monitorowania sieci, analizy zachowań użytkowników oraz oprogramowania XDR.

·         Generator prądu 30kW - W Urzędzie są cykliczne przerwy dostaw prądu co zakłóca pracę w urzędzie oraz podczas wyłączenia prądu użytkownicy tracą dane. Planujemy zakup i instalację agregatu o mocy 30kW, który pozwoli zminimalizować ryzyko utraty informacji oraz ochronę danych podczas nieplanowanych wyłączeń prądu.

·         Serwer nadmiarowy odmiejscowiony (Strażnica) wraz z konfiguracją i wdrożeniem - Urząd nie posiada mechanizmów nadmiarowości sprzętu oraz oprogramowania serwerowego. Serwer odmiejscowiony będzie pełnił funkcję zapasową serwera produkcyjnego przypadku lokalnych awarii, takich jak uszkodzenie dysku twardego czy przypadkowe skasowanie danych, przypadku katastrof naturalnych, pożarów, powodzi, w sytuacji ataku ransomware, kiedy dane są zaszyfrowane. W związku z powyższym na serwerze będzie zainstalowane oprogramowanie zarządzające oraz wykonujące kopie zapasowe na wewnętrznych i zewnętrznych nośnikach danych.

·         Backup danych nadmiarowy odmiejscowiony (Strażnica) wraz z konfiguracją i wdrożeniem - Urząd nie posiada mechanizmów nadmiarowości sprzętu oraz oprogramowania serwerowego. Jakakolwiek awaria sprzętu spowoduje długotrwałą przerwę w pracy Urzędu i pochłonie duże środki finansowe potrzebne do przywrócenia zdolności Urzędu do pracy. W związku z powyższym planujemy zakup serwera, który będzie pełnił rolę redundantną wobec serwera kopii zapasowej w urzędzie. Odmiejscowienie kopii zapasowych podniesie poziom bezpieczeństwa danych. Za pomocą tego serwera będzie realizowana polityka kopii bezpieczeństwa danych.

·         UPS odmniejscowiony (Strażnica) - W Urzędzie są cykliczne przerwy dostaw prądu co zakłóca pracę w urzędzie oraz podczas wyłączenia prądu użytkownicy tracą dane. Instalacja UPS przy serwerach pozwoli zminimalizować ryzyko utraty informacji oraz ochrony danych.

·         Oprogramowanie do backupu danych - W celu zautomatyzowania wykonywania kopii zapasowych planowany jest zakup specjalistycznego oprogramowania wykonującego kopie danych na serwerach oraz komputerach lokalnych.

·         UPS zarządzalny 3000VA do serwerowni UMiG - W Urzędzie są cykliczne przerwy dostaw prądu co zakłóca pracę w urzędzie oraz podczas wyłączenia prądu użytkownicy tracą dane. Instalacja UPS przy serwerach pozwoli zminimalizować ryzyko utraty informacji oraz ochrony danych. UPS zapewni podtrzymanie działania sprzętu komputerowego do czasu startu agregatu.

·         UPS stanowiskowy zarządzalny - W Urzędzie są cykliczne przerwy dostaw prądu co zakłóca pracę w urzędzie oraz podczas wyłączenia prądu użytkownicy tracą dane. Instalacja UPS przy komputerach pozwoli zminimalizować ryzyko utraty informacji oraz ochrony danych. UPS zapewni podtrzymanie działania sprzętu komputerowego do czasu startu agregatu

·         Oprogramowanie do zarządzania, monitorowania i inwentaryzacji sprzętu IT - W organizacji inwentaryzacja sprzętu i oprogramowania odbywa się manualnie, co powoduje brak informacji bieżących na temat oprogramowania oraz sprzętu pracującego w sieci. Brak zautomatyzowanej inwentaryzacji powoduje brak możliwości wykrycia nieautoryzowanego oprogramowania lub podłączenia sprzętu niebędącego w zasobach organizacji co powoduje zagrożenia w sieci komputerowej ułatwiając atak cybernetyczny.

·         Organizacja nie posiada narzędzi do monitorowania sieci oraz analizy zachowań użytkowników. W związku z tym postanowiono zakupić oprogramowanie posiadające ww funkcje. Oprogramowanie posiada budowę modułową, składa się z serwera zarządzającego, zdalnych konsoli oraz Agentów. Komunikacja pomiędzy Serwerem a Agentami i Konsolami nawiązywana jest przy użyciu szyfrowanego protokołu TLS 1.2. Moduły umożliwiają kompleksowy monitoring sieci, monitoring sprzętu komputerowego na stanowiskach użytkowników pod kątem zmian sprzętowych i programowych oraz pomocy w formie interaktywnego połączenia sieciowego z obsługiwanym użytkownikiem.

·         Oprogramowanie antywirusowe z konsolą do zarządzania - Stwierdzono potrzebę wdrożenia oprogramowania klasy Extended Detection & Response (XDR) które umożliwia szybkie i skuteczne identyfikowanie nietypowych zachowań i ataków, posiada zaawansowane funkcje wyszukiwania zagrożeń, umożliwia przeprowadzanie ocen ryzyka, reagowanie na zdarzenia, prowadzenie dochodzeń oraz naprawę skutków ataków. Zapewnia unikalne narzędzia do wykrywania zachowań i weryfikacji reputacji, automatycznej korelacji zdarzeń i tworzenia incydentów, które są przejrzyste dla zespołów administratora, dostarczając im informacji w czasie rzeczywistym na podstawie informacji o zagrożeniach.

·         Ponadto dla zapewnienia prawidłowości funkcjonowania planowanych do zakupu sprzętów konieczne jest zakupienie przełącznika (switcha) 24 portowego do serwerowni.

Projekt będzie miał pozytywny wpływ na realizację zasady równości szans i niedyskryminacji, w tym dostępności dla osób z niepełnosprawnością. Wszystkie efekty wdrożenia projektu będą dostępne dla wszystkich, a korzystanie z nich w żaden sposób nie będzie powodować powstania dyskryminacji ze względu na powyżej wskazane przesłanki. Ponadto niektóre elementy projektu będą miały pozytywny wpływ na realizację zasady równości szans i niedyskryminacji, w tym dostępności dla osób z niepełnosprawnością. Dotyczyć to będzie działań związanych z dostępnością infrastruktury, jak i materiałów w standardach dostępności cyfrowej m.in. w przypadku organizacji spotkań, szkoleń stacjonarnych i online, prowadzenia działań informacyjno-promocyjnych, współpracy z usługodawcami w ramach realizacji projektu.